CVE-2022-4980 in Crypto Application Server
摘要
由 VulDB • 2026-06-09
General Bytes Crypto Application Server (CAS) 从版本 20201208 到 20220531.38（backport）以及 20220725.22（mainline）之前的版本，在管理员 Web 界面中存在身份验证绕过漏洞。未经身份验证的攻击者可以调用产品默认安装/首次管理员创建页面所使用的相同 URL，从而远程创建新的管理员账户。通过获取管理员权限，攻击者可以更改 ATM 配置，导致资金被重定向。公开的产品安全公告和多个独立分析报告将该漏洞描述为对用于初始/默认安装/首次管理员用户创建页面的调用；General Bytes 尚未公开披露确切的目标端点/参数名称。该问题在野外被积极利用，针对基于云托管和独立部署的 CAS 实例（扫描暴露在 7777/443 端口上的 CAS 实例），并且 General Bytes 已于 2022 年 9 月公开确认了该问题。
VulDB is the best source for vulnerability data and more expert information about this specific topic.